RUS-CERT-667 – Archivierte Meldung

Meldung Nr: RUS-CERT-667

[GNU/at] Heap-Beschaedigung im at-Kommando
(2002-01-18 13:50:53+00)

Quelle: http://CERT.Uni-Stuttgart.DE/archive/bugtraq/2002/01/msg00222.html

In der GNU/Linux-Version des Zeitschaltuhr-Programms at ist ein Fehler in der Verarbeitung der Kommandozeilenargumente entdeckt worden.

Betroffene Systeme

Systeme, die die at-Implementierung von Thomas König einsetzen. Dies dürften die meisten GNU/Linux-Systeme sein.

Einfallstor
lokaler Account

Auswirkung
Ein lokaler Angreifer kann die Rechte des Benutzers daemon erlangen.

Typ der Verwundbarkeit
heap corruption bug

Gefahrenpotential
mittel bis hoch (Es ist davon auszugehen, daß mit den Rechten des Benutzers daemon ein erfolgreicher Angriff zur Erlangung von root-Rechten durchgeführt werden kann.)
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Falls dem at-Kommando syntaktisch fehlerhafte Argumente übergeben werden, kann es vorkommen, daß durch den Programmcode ein Speicherblock doppelt mittels free() freigegeben wird. Dadurch werden Heap-Datenstrukturen beschädigt, und das entstehende, nach der C-Norm undefinierte Verhalten kann von einem Angreifer ausgenutzt werden, um beliebigen Code mit den Rechten des at-Programms zu diesem Zeitpunkt auszuführen. Offenbar hat at, obwohl es SUID-root installiert ist, aber bereits zur User-ID daemon umgeschaltet, so das nur das Erlangen von Rechten dieses System-Users möglich ist.

Ein weiteres Problem (welches aber noch nicht öffentlich kommentiert wurde) scheint beim Anlegen von internen Dateien zu bestehen, wofür der unten aufgeführte Patch möglicherweise Abhilfe schafft.

Gegenmaßnahmen

Einspielen der Patches von SuSE.
Installation einer vom Distributor zur Verfügung gestellten aktualisierten Version.

Achten Sie beim Einspielen des Patches darauf, daß die Datei y.tab.c neu erzeugt wird. Am besten löschen Sie diese Datei vor dem Kompilieren von Hand.

(fw)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

https://cert.uni-stuttgart.de/ticker/article.php?mid=667